Nulladik napi biztonsági hibákat orvosolt a Microsoft

A Microsoft a múlt hónapban mindössze három biztonsági rést foltozott be a Windows-on. Tegnap azonban jóval intenzívebben lépett fel a sérülékenységek ellen, és nem kevesebb, mint 22 hibát orvosolt. Köztük olyanokat is, amelyek már a múlt évben ismertté váltak, és a kihasználásukhoz szükséges kódok is elérhetők voltak. E nulladik napi sebezhetőségek megszüntetésére már nagy szükség volt, mert jelentősen kiszolgáltatottá tették a rendszereket.

A Microsoft biztonsági közleményeinek jelentős része (összesen tíz darab) a Windows-hoz tartozik, amelyek közül az egyik kifejezetten az IIS 7.0, illetve az IIS 7.5 webszerverekhez készült. A maradék két tájékoztatóban az Internet Explorerben valamint  a Visio alkalmazásban megszüntetésre kerülő biztonsági résekről lehet olvasni. A közlemények közül három kritikus, míg a többi fontos veszélyességi besorolást érdemelt ki. A letölthetővé váló javítások révén számos olyan sérülékenység szüntethető meg, amelyek jogosulatlan távoli rendszerhozzáférést és kódfuttatást is lehetővé tehetnek a támadók számára. Meg kell említeni, hogy sajnos egy jelenleg is ismert és kihasználható biztonsági rés javítatlan maradt. A Windows nemrégen napvilágra került MHTML-kezelési hibájához ugyanis nem készült el a frissítés, így azt a Microsoft csak később tudja majd letölthetővé tenni.

Windows javítások

Az MS11-006-os számú biztonsági közlemény keretében adott tájékoztatást a Microsoft arról a nulladik napi sebezhetőségről, amely a bélyegképek feldolgozását érinti. A cég szerint a kritikus veszélyességű sebezhetőség jogosulatlan távoli kódfuttatásra adhat lehetőséget, és a Windows Shell kapcsán merült fel. Ugyancsak kritikus besorolást kapott az az OpenType Compact Font Format (CFF) driverben feltárt sérülékenység is, amely speciálisan szerkesztett betűtípusok használatakor járulhat hozzá károkozásokhoz. A többi biztonsági hibát fontos minősítéssel látta el a Microsoft, de ezek javítására is célszerű minél előbb sort keríteni, ugyanis azok kódfuttatást, szolgáltatásmegtagadási támadásokat és jogosultságszerzést is elősegíthetnek. A fejlesztők több sebezhetőséget szüntettek meg a Windows kernelben, illetve egyes kernelmódú driverek kezelésében. Biztonságosabbá váltak a Windows CSRSS (Client/Server Run-time Subsystem) és LSASS (Local Security Authority Subsystem Service) összetevői, valamint a JScript és VBScript feldolgozás. Emellett két frissítéssel gyarapodott a Kerberos implementációja is.

Külön ki kell emelni, hogy a Microsoft az Active Directory kapcsán egy szolgáltatásmegtagadási támadásokra lehetőséget adó biztonsági rést is befoltozott. Nem maradt frissítés nélkül az IIS (Internet Information Services) sem, amelynek esetében az FTP-szolgáltatás kapcsán korábban felmerült, nulladik napi sebezhetőség javítása történt meg. Ezért e sérülékenység által kizárólag azok a szerverek érintettek, amelyeken az FTP-szolgáltatás is telepítésre került.

Internet Explorer foltozgatás

A Microsoft az Internet Explorer böngészőben négy, kritikus veszélyességű sebezhetőséget orvosolt. A sérülékenységek speciálisan szerkesztett weboldalak megtekintésekor jelentkezhetnek, de egyes esetekben különféle DLL-állományok betöltésekor is problémákat okozhatnak. Amennyiben egy kártékony weblap kerül letöltésre a böngésző segítségével, akkor tetszőleges kódokat futtathatnak le a támadók, illetve minden olyan műveletet végrehajthatnak, amelyekhez az aktuálisan bejelentkezett felhasználónak is jogosultsága lenne. A sebezhetőségek memória- és CSS-kezelési hibákra, illetve egy DLL-betöltési problémára vezethetők vissza. A biztonsági rések miatt az Internet Explorer 6-os, 7-es és 8-as verzióinak frissítésére is szükség van.

Biztonságosabb lett a Visio

A Visio alkalmazás két fontos veszélyességi besorolással ellátott sebezhetőséget rejt. A biztonsági hibák speciálisan szerkesztett Visio állományok révén válhatnak kihasználhatóvá. Amikor a felhasználó megnyit egy ilyen fájlt, akkor memóriakezelési rendellenességek léphetnek fel, amelyek végül tetszőleges kódok futtatásához is hozzájárulhatnak. A Microsoft szerint minél több jogosultsággal használja a felhasználó a számítógépét, a sérülékenység annál nagyobb kockázatot jelent. A hibák a Visio 2002-es, 2003-as és 2007-es verzióiban is megtalálhatók.

A Microsoft februári hibajavításai az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a cég weboldalairól tölthetők le. További információk az Isidor Biztonsági Központ weboldalain olvashatók.